1. Le 12 avril, le Secrétaire du Comité de la Convention sur la cybercriminalité (T-CY), M. Alexander Seger, a demandé un avis juridique sur ce qui suit :

• Quelles seraient les implications juridiques et politiques et quels seraient les arguments pour ou contre une clause de déconnexion spécifique à l'UE (par exemple, sur le modèle de l'article 40 de la Convention sur la traite des êtres humains de 2005) par rapport à l'article 39 de la Convention de Budapest ?

Contexte général

2. En juin 2017, le T-CY a décidé de préparer un deuxième protocole additionnel à la Convention de Budapest sur la cybercriminalité. Cette décision était basée sur les recommandations du Groupe sur les preuves dans le nuage (T-CY “Cloud Evidence”) de 2015 à mi-2017 et sur les travaux antérieurs du Groupe sur l’accès transfrontalier (T-CY “Transborder”) de 2012 à 2014.
3. Le protocole doit contenir des dispositions concernant :

- une entraide judiciaire plus efficace ;

- la coopération directe avec les fournisseurs de services, y compris les injonctions de produire des données relatives aux abonnés qui doivent être transmises directement à un fournisseur de services d'une autre Partie ;

- l'extension des recherches transfrontalières ;

- les conditions et les garanties, y compris les exigences en matière de protection des données.

4. Le protocole est en cours d'élaboration par un Groupe de rédaction du Protocole T- CY - avec des sous-groupes pour les dispositions spécifiques - composé d'experts nommés par les parties à la Convention de Budapest. Les propositions préparées par ce groupe sont soumises à la plénière de rédaction du Protocole T-CY.
5. En avril 2018, la Commission européenne a publié ses propositions de preuves électroniques:

- Un règlement de l'UE relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale ;

- Une directive établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale

6. Ces propositions ont été inspirées par les travaux du T-CY.

7. Par conséquent, tant les propositions de l'UE en matière de preuves électroniques que le protocole couvrent les injonctions de production et de conservation. Les propositions de l'UE vont plus loin en ce sens qu'elles couvrent également la production de contenu et des données relatives au trafic, tandis que le protocole se limitera probablement à la production d’informations sur les abonnés (bien que sa portée exacte ne soit pas encore déterminée).

8. La Commission européenne et d'autres institutions de l'UE participent en qualité d'observateurs à la séance plénière de rédaction du protocole. La Commission européenne participe avec des « experts ad hoc » aux réunions du groupe de rédaction du protocole. Tant la plénière de rédaction du protocole que le groupe ont souligné la nécessité d'assurer la cohérence entre les propositions relatives aux éléments de preuve électroniques et le protocole.

9. Le 5 février 2019, la Commission européenne a publié une Recommandation de décision du Conseil autorisant la participation aux négociations sur un deuxième Protocole additionnel à la Convention sur la cybercriminalité (STE n° 185). Ces projets de "directives de négociation" devraient être finalisés et approuvés par le Conseil JAI d'ici juin 2019.
10. L'annexe de la recommandation prévoit, sous le titre « Relations avec le droit de l’Union et d'autres accords (possibles) » :

« d) Il convient de veiller à ce que le deuxième protocole additionnel contienne une clause de déconnexion permettant aux États membres de continuer à appliquer les règles de l'Union européenne dans leurs relations mutuelles, plutôt que le deuxième protocole additionnel,

e) Le deuxième protocole additionnel peut s'appliquer en l'absence d'autres accords internationaux plus spécifiques qui lient l'Union européenne ou ses Etats membres et d'autres parties à la convention ou, si de tels accords internationaux existent, uniquement dans la mesure où certaines questions ne sont pas régies par ceux-ci. Ces accords internationaux plus spécifiques devraient donc prévaloir sur le deuxième protocole additionnel dès lors qu'ils sont compatibles avec les objectifs et principes de la convention. »

11. La Convention de Budapest contient la clause générale suivante à l'article 39.2 :

« Article 39 - Effets de la Convention

…

2 Si deux ou plusieurs Parties ont déjà conclu un accord ou un traité relatif aux matières traitées par la présente Convention, ou si elles ont autrement établi leurs relations sur ces sujets, ou si elles le feront à l'avenir, elles ont aussi la faculté d’appliquer ledit accord ou traité ou d’établir leurs relations en conséquence, au lieu de la présente Convention. Toutefois, lorsque les Parties établiront leurs relations relatives aux matières faisant l’objet de la présente Convention d’une manière différente de celle y prévue, elles le feront d'une manière qui ne soit pas incompatible avec les objectifs et les principes de la Convention.

3 Rien dans la présente Convention n’affecte d’autres droits, restrictions, obligations et responsabilités d'une Partie. »

12. Après avoir rappelé l'utilisation des « clauses de déconnexion » au Conseil de l'Europe et l'étude du Comité des conseillers juridiques sur le droit international public (CAHDI), l'avis juridique examinera les avantages et les inconvénients de l'utilisation d'une telle clause dans le deuxième protocole additionnel. La dernière partie traitera de considérations juridiques et politiques plus larges.

Utilisation des clauses de déconnexion dans les traités du Conseil de l'Europe

13. L'objectif déclaré des « clauses de déconnexion » est de protéger l'application du droit de l’UE entre les États membres de l'UE contre les dispositions potentiellement divergentes d'un traité international. Elles constituent des clauses de conflit ajoutées aux traités en vue de régler les conflits potentiels entre le droit de l’UE et les traités en question.

14. Des clauses de déconnexion ont été utilisées dans un certain nombre de traités du Conseil de l'Europe depuis la fin des années 1980 (voir « Exemples de conventions contenant une clause de déconnexion », annexe 2 du rapport du Comité des conseillers juridiques sur le droit international public (CAHDI) sur les conséquences des clauses dites « de déconnexion » en droit international en général et sur les conventions du Conseil de l'Europe, contenant une telle clause, en particulier). La version la plus récente de la clause a été introduite dans les trois Conventions de 2005 - Convention du Conseil de l'Europe pour la prévention du terrorisme (STCE n° 196), Convention du Conseil de l'Europe sur la lutte contre la traite des êtres humains (STCE n° 197) et Convention du Conseil de l'Europe relative au blanchiment, au dépistage, à la saisie et à la confiscation des produits du crime et au financement du terrorisme (STCE n° 198), voir par exemple l'article 40.3 de la Convention sur la lutte contre la traite des êtres humains (STCE n° 197) :

« Les Parties qui sont membres de l'Union européenne appliquent, dans leurs relations mutuelles, les règles de la Communauté et de l'Union européenne dans la mesure où il existe des règles de la Communauté ou de l'Union européenne régissant le sujet particulier concerné et applicables au cas d’espèce, sans préjudice de l'objet et du but de la présente Convention et sans préjudice de son entière application à l’égard des autres Parties. »

15. En ce qui concerne le paragraphe 3 de l'article 40, lors de l'adoption de la Convention, la Communauté européenne et les États membres de l'Union européenne ont fait la déclaration suivante :

« En demandant l’inclusion de la « clause de déconnexion », la Communauté européenne/Union européenne et ses Etats membres réaffirment que leur objectif est de prendre en compte la structure institutionnelle de l’Union lorsqu’elles adhèrent à des Conventions internationales, en particulier en cas de transfert de pouvoirs souverains des Etats membres à la Communauté.

Cette clause n’a pas pour objectif de réduire les droits ou d’accroître les obligations des Parties non membres de l'Union européenne vis-à-vis de la Communauté européenne /Union européenne et de ses États membres, dans la mesure où ces dernières sont également Parties à la présente Convention.

La clause de déconnexion est nécessaire pour les dispositions de la Convention qui relèvent de la compétence de la Communauté/Union, afin de souligner que les États membres ne peuvent invoquer et appliquer directement entre eux (ou entre eux et la Communauté/Union européenne) les droits et obligations découlant de la Convention. Ceci ne porte pas préjudice à l’application complète de la convention entre la Communauté européenne/Union européenne et ses États membres, d'une part, et les autres parties à la Convention, d'autre part ; la Communauté et les États membres de l'Union européenne seront liés par la Convention et l'appliqueront comme toute autre Partie à la convention, le cas échéant, par le biais de la législation de la Communauté/Union. Ils garantiront dès lors le plein respect des dispositions de la Convention vis-à-vis des Parties non membres de l'Union européenne. »

16. En 2008, les « clauses de déconnexion » ont fait l'objet d'un rapport détaillé du CAHDI, Rapport sur les conséquences des clauses dites « de déconnexion » en droit international en général et sur les conventions du Conseil de l'Europe, contenant une telle clause, en particulier) qui a conclu que :

i. « Les « clauses de déconnexion » existantes sont juridiquement valables.

ii. Elles ne concernent pas les relations entre les États membres de l'UE et les autres parties à la convention. Elles ne sauraient donc être interprétées ou appliquées d'une manière visant à modifier le contenu des droits et obligations des États membres de l'UE vis-à-vis des autres parties.

iii. Les versions récentes des clauses disposent que tout régime de l'UE qui diffère de celui établi par la convention en question doit être sans préjudice de l'objet et du but de la convention. Dans le but d'évaluer si cela est le cas, il est recommandé de s’assurer que toutes les parties à une convention soient capables d'identifier les normes UE/CE applicables. Etant donné la pratique existante au sein du Conseil de l'Europe consistant à produire un rapport explicatif détaillé accompagnant ses conventions, la nature, la portée et la fonction de chaque clause « de déconnexion » devraient être exposées dans le rapport explicatif.

iv. La nécessité, ainsi que la portée précise, de chaque clause « de déconnexion » devraient être évaluées au cas par cas, en prenant compte de la nature et le contenu de la convention en question.

v. L'expérience de la participation de la CE aux conventions de l’ONU peut être utile. Lorsque la Communauté participe à une convention en compagnie de ses États membres, la nécessité d'une clause « de déconnexion » peut décroître. La participation de la Communauté peut aider à s’assurer de la cohérence du régime du traité pertinent ; le fait que tant la Communauté que les États membres soient parties assurerait que la convention soit pleinement mise en œuvre. La participation de la Communauté devrait par conséquent être encouragée dans les cas opportuns. »

17. Dans la pratique, le traité du Conseil de l'Europe le plus récent qui contient une telle clause est la Convention du Conseil de l'Europe sur la protection des enfants contre l'exploitation et les abus sexuels (STCE n° 201, ouverte à la signature le 1er juillet 2007). Depuis 2007, la clause n'a plus été utilisée, bien que plusieurs conventions couvrant des aspects du droit de l’UE aient été conclues^[1]. Le Protocole d'amendement à la Convention 108 sur la protection des données (STCE n° 223), qui a été ouvert à la signature en octobre 2018, utilise une clause spéciale, mais uniquement dans le contexte des flux transfrontières de données. Elle permet aux parties de refuser le transfert de données à caractère personnel si elle est « tenue de respecter des règles de protection harmonisées communes à des États appartenant à une organisation internationale régionale » ^[2].

18. Hormis l'affaire C-222/94^[3] relative à la télévision transfrontière, dans laquelle la CJUE a confirmé que les Etats membres de l'UE n'ont pas le droit d'invoquer les obligations conventionnelles pour justifier le non-respect de normes contradictoires contenues dans une directive de l’UE , le Secrétariat du Conseil de l'Europe ne connaît aucun cas où cette clause a effectivement été appliquée, invoquée ou utilisée comme fondement par l'UE ou ses Etats membres.^[4] La pratique réelle est cependant difficile à établir car les clauses fonctionnent automatiquement ; il n'est pas nécessaire d’entreprendre d'autres actes, déclarations ou notifications aux autres parties ou au Conseil de l'Europe pour les activer.

Une clause de déconnexion spécifique à l'UE dans le contexte du deuxième protocole additionnel à la Convention de Budapest

19. En guise de prémisse, il convient de noter que les politiques et la législation de l'UE en matière de cybercriminalité s'appuient sur la Convention de Budapest, qui fait partie de l'acquis communautaire^[5]. Les États membres de l'UE ont transposé ses dispositions de fond et de procédure dans leur droit interne.

20. Le deuxième protocole additionnel peut affecter les règles communes de l'UE. La recommandation susmentionnée rappelle dans son préambule que l'Union européenne a adopté des règles communes qui recoupent dans une large mesure les éléments envisagés pour inclusion dans le deuxième protocole additionnel. Il s'agit notamment d'instruments juridiques visant à faciliter la coopération judiciaire en matière pénale, à garantir des normes minimales en matière de droits procéduraux, ainsi que la protection des données et de la vie privée. Bien que l'UE puisse donc avoir un intérêt légitime à préciser que les obligations conventionnelles entre les États membres de l'UE seront mises en œuvre par le biais du droit de l'UE plutôt que par chaque État membre de l'UE individuellement, le libellé utilisé dans les clauses de déconnexion semble être un peu plus large.

21. Les clauses de déconnexion spécifiques à l'UE garantissent que seul le droit de l'UE, qu'il soit existant ou futur, sera appliqué entre les États membres de l'UE. Il faut toutefois tenir compte du fait que la Convention de Budapest contient déjà une disposition qui devrait répondre au souci de l'Union européenne de ne pas compromettre son acquis normatif ou l'autonomie de son processus législatif. L'article 39.2 de la Convention de Budapest a été expressément adopté dans l'intention que la Convention complète et non remplace les accords et arrangements multilatéraux et bilatéraux entre les parties. Elle prévoit que les parties peuvent compléter ses dispositions par des accords bilatéraux plus détaillés ou établir d'une autre manière leurs relations « d'une manière qui ne soit pas incompatible avec les objectifs et les principes de la Convention » (article 39.2 in fine). L'article 39 fonctionne bien depuis de nombreuses années, permettant à l'Union européenne et à ses États membres d'utiliser pleinement la Convention de Budapest et le droit de l’UE.

22. L'article 39 de la Convention de Budapest s'appliquera au nouveau protocole additionnel. Il n'est pas nécessaire de répéter ses dispositions dans le nouveau protocole. La pratique conventionnelle du Conseil de l'Europe consiste à n'avoir qu'une seule clause générale dans les protocoles additionnels déclarant les dispositions générales de la convention mère applicables. C'est le cas du (premier) Protocole additionnel à la Convention sur la cybercriminalité (STE n° 189). L'article 8 du (premier) Protocole additionnel (STE n° 189) ne mentionne pas l'article 39 de la Convention de Budapest car, contrairement au deuxième Protocole additionnel, il ne traite que du droit pénal matériel et non des procédures ou mécanismes de coopération. L'obligation d'incriminer les actes de nature raciste ou xénophobe étant de nature absolue, il n'était pas nécessaire de mentionner l'article 39. Pour donner un autre exemple, la Convention du Conseil de l'Europe pour la prévention du terrorisme (STCE n° 196) contient une clause sur les relations avec d'autres traités et le droit de l’UE à l'article 26.3. Le Protocole additionnel à la présente Convention (STCE n° 217) ne contient pas une telle clause, mais seulement une disposition générale sur les relations entre ce Protocole et la Convention (article 9). Si nécessaire, le rapport explicatif du protocole peut être utilisé pour expliquer l'application de l'article 39.2 de la Convention de Budapest en ce qui concerne le droit de l’UE.

23. Tant que l'objectif et les buts du protocole seront respectés, l'UE aura toute latitude pour élaborer son propre droit interne et ne sera pas empêchée d'adopter, par exemple, une législation prévoyant des « injonctions européennes de production », dont la portée sera vraisemblablement plus large que les instruments juridiques/décrets prévus par le protocole.

24. Enfin, il convient de tenir compte du fait que les normes du Conseil de l'Europe sont en règle générale conformes aux normes de l'UE, les deux organisations partageant les mêmes valeurs et objectifs. En outre, un autre principe général du droit des traités permet aux parties d'appliquer des normes plus élevées que celles contenues dans le traité.

Des implications juridiques et politiques plus larges

25. L'utilisation d'une clause de déconnexion dans le deuxième protocole additionnel peut avoir des implications juridiques et politiques plus larges. Comme l'a souligné la Cour internationale de Justice, le fait « qu'une question revête des aspects politiques ne suffit pas à lui ôter son caractère juridique »[6].Le présent avis ne porte pas sur la nature politique ou les motifs qui ont pu inspirer la demande de clause de déconnexion. Il abordera les implications juridiques et politiques plus larges sous l'angle exclusif du droit international public et de la pratique conventionnelle du Conseil de l'Europe, ainsi que, plus spécifiquement, de l'objet du deuxième protocole additionnel et de sa relation avec la législation proposée sur les éléments de preuve électroniques.

26. Dans ce contexte, il convient de noter qu'il n'est pas possible d'évaluer définitivement les implications juridiques et politiques d'une clause de déconnexion sans connaître le libellé exact de la clause que l'UE proposera. Cette difficulté est aggravée par le fait que le champ d'application effectif du deuxième protocole additionnel n'a pas encore fait l'objet d'un accord et que les règles de l'UE sur les questions relevant du champ d'application du protocole ou s'y rapportant sont en cours d'élaboration.

a) Le droit international et la pratique conventionnelle du Conseil de l'Europe

27. Dans une approche plus large, il convient de rappeler que les clauses de déconnexion ont été utilisées presque exclusivement dans les conventions du Conseil de l'Europe et seulement très exceptionnellement à un niveau plus global. D'une^[7] manière générale, au niveau international, ces clauses se sont heurtées à des résistances. En particulier, l'Union européenne n'a pas été en mesure d'introduire une clause de déconnexion dans les accords de l'OMC, car elle a estimé que la pleine participation des États membres serait compromise.^[8] Ainsi, la réintroduction de la clause de déconnexion après de nombreuses années (la dernière utilisation dans un traité du Conseil de l'Europe date de 2007, voir paragraphe 17 ci-dessus) créerait un précédent négatif, d'autant plus qu'elle est juridiquement inutile.
28. En 2006, le rapport du Groupe d'étude sur la fragmentation du droit international de la Commission du droit international (CDI) a noté l'ambiguïté des clauses de déconnexion. Elle a suggéré que cette pratique soulève des doutes quant à l'application égale des normes du traité entre les parties,^[9] permettant éventuellement à l'UE et à ses États membres de déroger aux dispositions du traité.
29. En ce qui concerne les préoccupations de la CDI au sujet des « clauses de déconnexion », elles découlent de l'exclusivité accordée uniquement à certaines parties au traité, des incertitudes éventuelles d'autres parties sur le contenu précis du droit de l’UE pertinent et du fait que ce droit pourrait faire l'objet de modifications qui pourraient conduire à une dérogation négative de la convention dans les relations entre États parties.^[10] En outre, la clause n'indique pas si et comment elle doit être appliquée lorsqu'une convention a été ratifiée par tous les États membres de l'UE ou certains d'entre eux mais pas par l'UE en tant que telle (ce qui est précisément le cas de la Convention de Budapest qui n'est pas ouverte à la signature de l'UE). Ces questions n'affectent pas la validité de la clause à condition que toutes les parties consentent à son inclusion lors de l'adoption du traité. Toutefois, les parties n'auraient peut-être pas convenu de modifications ultérieures des règles de l'UE qui s'écarteraient sensiblement du traité en question.
30. Le recours aux clauses de déconnexion a été critiqué par l'Assemblée parlementaire du Conseil de l'Europe^[11], les organisations non gouvernementales[12] et la doctrine juridique.[13] Comme l'a fait remarquer Jan Klabbers en 2009, « c'est un choix politique parmi d'autres, la CE a, bien entendu, tout à fait le droit de le faire. Néanmoins, il arrive parfois que le choix de faire prévaloir le droit communautaire soit plutôt borné, ce qui ne serait pas toléré si l'on venait d'un État. Certes, même les États-Unis n'insisteraient pas pour isoler leur droit interne du droit international sans être soumis à de sévères critiques. Il est donc ironique que l'Europe, si souvent présentée comme favorable au droit international, ne s'en tire guère mieux lorsque les jeux sont faits. »[14].
31. Un autre argument plaidant contre l'utilisation d'une clause de déconnexion spécifique à l'UE peut être déduit des règles générales du droit des traités. De même qu'un Etat ne doit pas invoquer les dispositions de son droit interne pour ne pas mettre en œuvre un traité (article 27 de la Convention de Vienne de 1969 sur le droit des traités), l'Union européenne ne doit pas invoquer le droit de l’UE pour justifier la non-application des règles d’un traité.
32. Les clauses de déconnexion doivent être rédigées en termes clairs et précis. En tout état de cause, la pratique préférée et établie consisterait à renvoyer aux clauses finales de la Convention de Budapest, qui s'appliquent également aux protocoles additionnels (y compris l'article 39.2 et les parties pertinentes du rapport explicatif) plutôt que d'inclure une « clause de déconnexion » distincte dans le deuxième protocole additionnel lorsque celle-ci n'existe pas dans la Convention.

b) Le deuxième protocole additionnel et le droit de l’UE

33. En ce qui concerne le champ d'application matériel du deuxième protocole additionnel, il convient de tenir compte du fait que le champ d'application précis des ordonnances directes de production au titre du protocole n'est pas encore défini de manière définitive. Alors que le règlement proposé par l'UE sur la preuve électronique s'appliquera, en vertu de l'article 3, à tous les prestataires de services qui offrent des services dans l'Union, y compris ceux qui ne sont pas établis dans l'UE, l'application du deuxième protocole pourrait avoir une portée plus large. Il peut, par exemple, ne pas être exigé que le fournisseur de services offre des services à la partie dont les autorités chargées de l'application de la loi demandent les renseignements sur l'abonné. Dans un tel cas, la Convention de Budapest pourrait servir de base pour faciliter l'échange d'informations qui ne pourraient pas être obtenues autrement grâce aux propositions de l'UE sur les éléments de preuve électroniques proposées par la Commission européenne.

Conclusion

34. En formant un partenariat fondé sur des valeurs, l'Union européenne et le Conseil de l'Europe ont une responsabilité partagée dans le maintien de la cohérence et de l'efficacité de leurs cadres juridiques respectifs. Dans ce contexte et compte tenu de l'objet, du but et du contenu de la Convention de Budapest, l'inclusion d'une clause de déconnexion spécifique à l'UE dans le deuxième protocole additionnel semble à la fois juridiquement inutile et contre­productive du point de vue politique.
35. Les clauses de déconnexion peuvent créer des divisions inutiles entre les parties et une incertitude juridique quant aux normes applicables. Leur utilisation dans le deuxième protocole additionnel n'est d'ailleurs pas nécessaire car l'article 39 de la Convention de Budapest répond bien au souci de l'Union européenne de préserver son ordre juridique. Au lieu de se déconnecter, l'Union européenne et ses États membres devraient profiter pleinement de l'existence d'un instrument multilatéral qui fonctionne bien et qui englobe 63 États parties dans le monde, dont les partenaires stratégiques les plus importants.
36. Une analyse plus détaillée des impacts possibles d'une « clause de déconnexion » spécifique à l'UE ne pourra être effectuée qu'une fois que le libellé réel aura été soumis. Dans l'intervalle, compte tenu des risques inhérents à l'utilisation de telles clauses et de l'absence d'avantages avérés, voire de la nécessité de telles clauses dans le cadre des traités du Conseil de l'Europe, le comité de rédaction devrait être dissuadé d'introduire une clause de déconnexion spécifique à l'UE dans le texte du deuxième protocole additionnel à la Convention de Budapest. Il incombe à l'UE (Commission européenne) d'expliquer aux parties à la Convention de Budapest pourquoi une référence dans le deuxième protocole additionnel à l'article 39.2 de la Convention, conformément au droit international, ne serait pas suffisante.